Approfondimento normativo: European Data Protection Boardmedium
Anonimo per chi? Le nuove linee guida europee spostano la domanda
L'anonimizzazione è la porta d'uscita dal GDPR: se un dato è davvero anonimo, il Regolamento non si applica più. Per questo la definizione di «davvero» vale molto. Il Comitato europeo per la protezione dei dati ha adottato il 7 luglio 2026 le Linee guida 02/2026 sull'anonimizzazione, aperte a consultazione pubblica fino al 30 ottobre 2026. Il documento arriva dopo una sentenza della Corte di giustizia dell'Unione europea — EDPS contro SRB, causa C-413/23 P — che ha stabilito come un dato pseudonimizzato non sia necessariamente dato personale per ogni destinatario. Da lì discende il passaggio che conta: l'anonimato smette di essere una proprietà assoluta del file e diventa una relazione fra il dato e chi lo ha in mano.
Perché una definizione vale così tanto
Nel GDPR c'è una sola vera uscita di sicurezza: il considerando 26, che esclude dall'ambito di applicazione del Regolamento le informazioni anonime, cioè quelle che non si riferiscono a una persona identificata o identificabile. Se un dato è anonimo, tutto il resto — basi giuridiche, informative, diritti degli interessati, valutazioni d'impatto, limiti al trasferimento — smette di applicarsi.
Questo rende la parola «anonimo» la più contesa dell'intera materia. Nella pratica quotidiana viene usata con una generosità che raramente resiste a un controllo: dataset con gli identificativi diretti rimossi ma tutto il resto intatto, chiavi di collegamento conservate «per necessità tecniche», aggregazioni che si sciolgono appena si incrocia una seconda fonte.
Il 7 luglio 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02/2026 sull'anonimizzazione. Sono in consultazione pubblica dall'8 luglio al 30 ottobre 2026: chiunque — imprese, enti pubblici, ricerca, associazioni, singoli — può inviare osservazioni attraverso il modulo sul sito dell'EDPB entro quella data.
- Settembre 2025La sentenza
La Corte di giustizia decide EDPS contro SRB, causa C-413/23 P.
- 7 luglio 2026L'adozione
L'EDPB adotta le Linee guida 02/2026 sull'anonimizzazione.
- 8 luglio 2026Apertura
Si apre la consultazione pubblica sul testo.
- 30 ottobre 2026Chiusura
Termine ultimo per inviare osservazioni, ore 23:59 CET.
Il cambio di prospettiva
Il documento nasce sulla scia di una decisione della Corte di giustizia dell'Unione europea nel caso EDPS contro Comitato di risoluzione unico (SRB), causa C-413/23 P, del settembre 2025. Il punto affermato dalla Corte, e ripreso dalle linee guida, è che un dato pseudonimizzato non è necessariamente dato personale in ogni caso e per ogni destinatario.
Detta così sembra un tecnicismo. È invece uno spostamento del baricentro.
La lettura tradizionale trattava l'identificabilità come una proprietà del dato: o il file è anonimo, o non lo è, e la risposta è la stessa per chiunque lo apra. La lettura che emerge da questa giurisprudenza è relativa: la stessa tabella può essere dato personale per chi possiede la chiave di riconciliazione e non esserlo per un destinatario che non ha alcun mezzo ragionevolmente utilizzabile per risalire alle persone.
- 01Chi detiene la chiaveil dato resta personale: l'identificazione è a portata di mano
- 02Chi riceve solo la tabellapuò non essere dato personale, se nessun mezzo ragionevole consente il collegamento
- 03La valutazionesi fa sul destinatario e sul contesto, non solo sul file
Le linee guida servono precisamente a impedire che questo principio venga usato come scorciatoia. Il documento è dedicato alla nozione di dato anonimo e alla valutazione dell'efficacia dei processi di anonimizzazione: non basta affermare che un dato è anonimo, occorre poter mostrare rispetto a chi, con quali mezzi disponibili, e sulla base di quale analisi dei rischi di re-identificazione.
A chi cambia davvero la vita
L'EDPB indica esplicitamente fra i destinatari le organizzazioni che trattano dati in contesti di data analytics, sviluppo tecnologico, condivisione di informazioni e intelligenza artificiale. Non è un elenco casuale: è la mappa dei posti dove oggi si dichiara più spesso l'anonimizzazione senza averla ottenuta.
Il caso ricorrente è quello dei modelli. Un insieme di addestramento «anonimizzato» che conserva combinazioni rare — una professione, una città piccola, una data — non è anonimo, è solo scomodo da riconciliare. E la scomodità non è un criterio giuridico.
Il secondo caso è la condivisione fra enti. La lettura relativa dell'identificabilità apre uno spazio reale: si può costruire una condivisione in cui il destinatario non dispone dei mezzi per identificare, e documentarlo. Ma richiede di scrivere quella valutazione prima, non di invocarla dopo.
Cosa fare adesso
Riaprite l'inventario delle vostre anonimizzazioni. Per ciascun insieme dichiarato anonimo, tre domande: chi lo riceve, cosa quel destinatario possiede già, quale analisi documenta che la re-identificazione non è ragionevolmente possibile per lui. Se la terza risposta non esiste su carta, non esiste.
Distinguete pseudonimizzazione e anonimizzazione, ancora. Restano due cose diverse: la prima riduce il rischio e resta dentro il GDPR, la seconda esce dal Regolamento. La sentenza della Corte non le fonde: dice che la qualificazione va fatta guardando anche il destinatario.
Partecipate alla consultazione, se il tema vi tocca. Fino al 30 ottobre 2026 il testo è aperto a osservazioni, e i contributi vengono pubblicati sul sito dell'EDPB. Per settori con casi d'uso particolari — sanità, ricerca, statistica pubblica — è la finestra in cui quei casi possono entrare nel documento definitivo.
Due avvertenze di lettura. La prima: si tratta di un testo in versione 1, in consultazione. Non è la versione finale e può cambiare; costruirci sopra un'architettura definitiva oggi sarebbe prematuro, ignorarne la direzione sarebbe imprudente. La seconda: questo articolo è una lettura divulgativa e non sostituisce il testo delle linee guida né una valutazione legale sul caso concreto. Il PDF integrale in inglese è linkato fra le fonti.
